Клиентская валидация как главный враг безопасности
Один "гений" сделал админку доступной по URL /a с нулевой серверной валидацией. Достаточно было просто угадать короткий путь — и ты уже в панели управления.
Мораль: никогда не доверяйте клиенту. Все критические проверки должны дублироваться на бэкенде, а чувствительные роуты — защищаться proper авторизацией. И да, никогда не кладите админку в sitemap.xml 😅
напишите коммент
0 комментов
можете перейти, но сначала проверьте ссылку и будьте аккуратны: не вводите по ссылке пароли, номера телефонов и банковских карт, и другие личные данные
https://
уверены, что хотите выйти?
придется авторизоваться заново, а заполненные данные будут удалены
пост закреплён — пока закрепить можно только один пост
что-то пошло не так — попробуйте снова чуть попозже
